4.3 中国银监会对操作风险的监管要求
中国银监会于2007年5月颁布了《商业银行操作风险管理指引》，该指引提出商业银行应当建立与该行的业务性质、规模和复杂程度相适应的操作风险管理体系，有效地识别、评估、监测和控制/缓释操作风险。对于操作风险管理体系的具体形式没有作具体要求，但至少应包括以下基本要素：董事会的监督控制；高级管理层的职责；适当的组织架构；操作风险管理政策、方法和程序；计提操作风险所需资本的规定。
在2008年9月颁布的《商业银行操作风险监管资本计量指引》中，明确了计量监管资本的方法为：标准法、替代标准法和高级计量法。
为了达到巴塞尔协议Ⅲ的资本监管要求，2011年8月12日，中国银监会发布了《商业银行资本管理办法(征求意见稿)》(以下简称《意见稿》)，拟在社会各界征求意见后自2012年1月1日起实施。该《意见稿》取消了2008年《商业银行操作风险监管资本计量指引》中的替代标准法，增加了基本指标法，将商业银行操作风险资本的计量确定为：基本指标法、标准法或高级计量法。
4.3.1 基本指标法
商业银行采用基本指标法，以总收入作为其操作风险暴露指标，并应按照以下公式计量操作风险资本要求：
(4.19)
式中，KBIA为商业银行用基本指标法计算的操作风险资本要求。GI为过去三年中每年正的总收入，总收入为净利息收入和净非利息收入之和。总收入范围参照该办法附件11注9的规定。n为过去三年中总收入为正的年数。α为18%。
总收入定义为净利息收入加上净非利息收入。总收入未扣除营业费用，应扣除银行账户上“持有至到期日”和“可供出售”两类证券出售实现的损益，扣除保险业务收入。各业务总收入组成项目应遵循相关的企业会计准则。表4—3为总收入的构成说明。
表4—3总收入的范围
资料来源：中国银监会：《商业银行资本管理办法(征求意见稿)》，2011-08-12。
4.3.2 标准法
商业银行采用标准法，应将其业务划分为公司金融、交易和销售、零售银行、商业银行、支付和清算、代理服务、资产管理、零售经纪和其他业务等9个业务条线。
标准法计算操作风险监管资本的公式为：
(4.20)
的含义是前三年操作风险监管资本的算术平均数；
的含义是当年的操作风险资本要求为负数的，用零表示；涉及的业务条线GI有9个：公司金融、交易和销售、零售银行、商业银行、支付和清算、代理服务、资产管理、零售经纪、其他业务。GI为各业务条线当年的总收入，总收入为净利息收入和净非利息收入之和，总收入范围与基本指标法规定的总收入范围相同。βk是各业务条线对应的系数(见表4—4)。与表4—1相比，中国银监会规定的β系数比巴塞尔委员会的β系数多了一个——其他业务，这是指未能划入公司金融等8类业务条线的其他业务。
表4—4各业务条线对应的β系数
与基本指标法一样，总收入指净利息收入加上净非利息收入。总收入未扣除营业费用，应扣除银行账户上“持有至到期日”和“可供出售”两类证券出售实现的损益，扣除保险业务收入。各业务总收入组成项目，应遵循相关的企业会计准则。总收入的具体构成见表4—3。
对于业务条线的划分，《商业银行操作风险监管资本计量指引》也作了明确规定(见表4—5)。
表4—5业务条线的划分
续前表
资料来源：中国银监会：《商业银行资本管理办法(征求意见稿)》，2011-08-12。
中国银监会发布的《意见稿》规定，商业银行使用标准法计量操作风险资本要求，应符合以下条件：
(1)商业银行应建立清晰的操作风险管理组织架构、政策、工具、流程和报告路线。董事会应承担监控操作风险管理有效性的最终责任，高级管理层应负责执行董事会批准的操作风险管理策略、总体政策及体系。商业银行应指定部门专门负责全行操作风险管理体系的建设，组织实施操作风险的识别、监测、评估、计量、控制、缓释、监督与报告等。商业银行应在全行范围内建立激励机制鼓励改进操作风险管理。
(2)商业银行应建立与本行的业务性质、规模和产品复杂程度相适应的操作风险管理系统。该管理系统应能够记录和存储与操作风险损失相关的数据和操作风险事件信息，能够支持操作风险及控制措施的自我评估和对关键风险指标的监测。该管理系统应配备完整的制度文件，规定对未遵守制度的情况进行合理的处置和补救。
(3)商业银行应系统性地收集、跟踪和分析与操作风险相关的数据，包括各业务条线的操作风险损失金额和损失频率。商业银行收集内部损失数据应符合相关规定。
(4)商业银行应制定操作风险评估制度，将风险评估整合入业务处理流程，建立操作风险和控制自我评估或其他评估工具，定期评估主要业务条线的操作风险，并将评估结果应用到风险考核、流程优化和风险报告中。
(5)商业银行应建立关键风险指标体系，实时监测相关指标，并建立指标突破阈值情况的处理流程，积极开展风险预警管控。
(6)商业银行应制定全行统一的业务连续性管理政策措施，建立业务连续性管理应急计划。
(7)商业银行负责操作风险管理的部门应定期向业务管理部门、高级管理层和董事会提交全行的操作风险管理与控制情况报告，报告中应包括主要操作风险事件的详细信息、已确认或潜在的重大操作风险损失等信息、操作风险及控制措施的评估结果、关键风险指标监测结果，并制定流程对报告中反映的信息采取有效行动。
(8)商业银行的操作风险管理系统和流程应接受内部独立审查，内部审查应覆盖业务部门活动和全行各层次的操作风险管理活动。
(9)商业银行应投入充足的人力和物力支持在业务条线实施操作风险管理，并确保内部控制和内部审计的有效性。
(10)商业银行的操作风险管理体系及其审查情况应接受银监会的监督检查。
4.3.3 高级计量法
与巴塞尔协议一样，中国银监会对于高级计量法只给出了使用要求和原则，没有提出具体的计量方法。《商业银行资本管理办法(征求意见稿)》(2011)规定：商业银行采用高级计量法，可根据业务性质、规模和产品复杂程度以及风险管理水平自行选择操作风险计量模型，可选用的计量模型包括内部度量模型、损失分布模型、打分卡模型及其他模型等；用于计量操作风险资本要求的模型的置信度应为99.9%，观测期为1年；商业银行采用高级计量法，其建模应基于内部损失数据、外部损失数据、情景分析以及业务经营环境和内部控制因素四项要素；商业银行用于建模的内部损失数据应充分反映本行操作风险实际情况。
在使用高级计量法的前提条件方面，中国银监会从治理结构、数据处理和模型建立等三方面提出了要求。
(1)治理结构。
①商业银行的操作风险计量应成为操作风险管理流程的重要组成部分，相关计量体系应能促进商业银行改进全行和各业务条线的操作风险管理，支持向各业务条线配置相应的资本。
②商业银行应根据《资本计量高级方法验证要求》(《商业银行资本管理办法(征求意见稿)》(2011)的附件13)的要求，建立对操作风险资本计量系统严格的独立验证程序。验证应包括操作风险高级计量模型及支持体系，证明高级计量模型能够充分反映低频率/高损失事件风险，审慎计量操作风险的监管资本。商业银行的操作风险管理系统和流程应接受第三方的验证，验证应覆盖业务条线和全行的操作风险管理，验证的标准和程序应符合本办法的规定。
(2)数据处理。
商业银行操作风险计量系统的建立应基于内部损失数据、外部损失数据、情景分析、业务经营环境和内部控制等四个基本要素，并对其操作风险计量系统中的作用和权重做出书面合理界定。上述四项基本要素应至少分别符合以下要求：
①内部损失数据。
1)商业银行应具备至少5年观测期的内部损失数据。初次使用高级计量法的商业银行，可使用3年期的内部损失数据。
2)商业银行应书面规定对内部损失数据进行加工、调整的方法、程序和权限，有效处理数据质量问题。
3)商业银行的内部损失数据应全面覆盖对全行风险评估有重大影响的所有重要业务活动，并应设置合理的损失事件统计金额起点。
4)商业银行操作风险计量系统使用的内部损失数据应与规定的业务条线归类目录和损失事件类型目录建立对应关系。
5)商业银行除应收集损失金额信息外，还应收集损失事件发生时间、损失事件发生的原因等信息。
6)商业银行对由一个中心控制部门(如信息科技部门)或由跨业务条线及跨期事件引起的操作风险损失，应制定合理具体的损失分配标准。
7)商业银行应建立对损失事件的跟踪和检查机制，及时更新损失事件状态和损失金额等的变化情况。
8)商业银行应收集记录没有造成任何损失影响或带来收益的事件，此类事件可不用于建模，但应通过情景分析等方法评估其风险及损失。
9)商业银行对因操作风险事件(如抵押品管理缺陷)引起的信用风险损失，如已将其反映在信用风险数据库中，应视其为信用风险损失，不纳入操作风险监管资本计量，但应将此类事件在操作风险内部损失数据库中单独做出标记说明。
10)商业银行对因操作风险事件引起的市场风险损失，应反映在操作风险的内部损失数据库中，纳入操作风险监管资本计量。
11)商业银行的操作风险内部损失数据收集情况及评估结果应接受银监会的监督检查。
②外部损失数据。
1)商业银行的操作风险计量系统应使用相关的外部数据，包括公开数据、银行业共享数据等。
2)商业银行应书面规定外部数据加工、调整的方法、程序和权限，有效处理外部数据应用于本行的适应性问题。
3)外部数据应包含实际损失金额、发生损失事件的业务规模、损失事件的原因和背景等信息。
4)实施高级计量法的商业银行之间可以以适当的形式共享内部数据，作为操作风险计量的外部数据来源。商业银行之间汇总、管理和共享使用内部数据，应遵循事先确定的书面规则。有关规则和运行管理机制应事先报告银监会。
5)商业银行对外部数据的使用情况应接受银监会的监督检查。
③情景分析及业务经营环境和内部控制因素。
1)商业银行应综合运用外部数据及情景分析来估计潜在的操作风险大额损失。
2)商业银行应对操作风险计量系统所使用的相关性假设进行情景分析。商业银行应及时将事后真实的损失结果与情景分析进行对比，不断提高情景分析的合理性。
3)商业银行在运用内部、外部损失数据和情景分析方法计量操作风险时，还应考虑到可能使操作风险状况发生变化的业务经营环境、内部控制因素，并将这些因素转换成为可计量的定量指标纳入操作风险计量系统。
(3)模型建立和计量。
①操作风险计量系统应具有较高的精确度，考虑到非常严重和极端损失事件发生的频率和损失的金额。
②商业银行如不能向银监会证明已准确计算出了预期损失并充分反映在当期损益中，就应在计量操作风险监管资本时综合考虑预期损失和非预期损失之和。
③商业银行在加总不同类型的操作风险监管资本时，可以自行确定相关系数，但要书面证明所估计的各项操作风险损失之间相关系数的合理性。
④商业银行可以将保险作为操作风险高级计量法的缓释因素。保险的缓释最高不超过操作风险监管资本要求的20%。